. A atividade onchain do Bitcoin atingiu o maior nível de 2026, enquanto investigadores ampliam a apuração sobre a falha na carteira de hardware Coldcard. Pesquisadores relacionaram o salto no volume de moedas movimentadas ao ataque em andamento e alertaram que picos semelhantes já apareceram perto de topos e fundos locais do mercado.

A K33 Research informou, em relatório, que quase 890 mil BTC circularam onchain nos últimos sete dias. Esse foi o maior nível de oferta ativa em sete dias registrado neste ano, embora o Bitcoin siga negociado dentro de uma das faixas de preço mais estreitas dos últimos anos.

Ao mesmo tempo, a Galaxy Research afirmou na terça-feira que ao menos 15 atacantes diferentes já exploraram a vulnerabilidade. A estimativa confirmada mais recente aponta para 1.596 BTC roubados de cerca de 7.300 endereços em três ondas de ataque verificadas. As perdas, porém, podem chegar a 2.055 BTC, ou cerca de US$ 130 milhões, caso uma quarta onda suspeita seja confirmada por novos relatos de vítimas.

Atividade cresce enquanto investigação avança

Embora observações anteriores da blockchain indicassem perdas maiores, a Galaxy afirmou que refinou os números ao separar relatos confirmados de vítimas da atividade onchain ainda suspeita. Segundo a equipe, cerca de 90% do Bitcoin roubado não se moveu desde os ataques. Assim, investigadores ganharam mais tempo para monitorar os fundos e coordenar ações com exchanges de criptomoedas, empresas de segurança em blockchain e autoridades policiais dos Estados Unidos.

Mesmo com a relativa calmaria nos preços, o chefe de pesquisa da K33, Vetle Lunde, disse que o ritmo das transferências de Bitcoin acelerou de forma acentuada. De acordo com o relatório, o ativo registrou sua menor faixa de negociação entre máxima.  E mínima em 30 dias desde 2023, enquanto a volatilidade realizada caiu para baixo da observada no Nasdaq 100.

Ainda assim, a oferta ativa subiu rapidamente porque usuários afetados moveram fundos após o incidente com a Coldcard. Lunde afirmou que o aumento foi “muito provavelmente impulsionado pelos ataques à Coldcard”. Ele acrescentou que o episódio “provavelmente elevou as preocupações sobre outras carteiras de hardware. Incluindo Ledger e Trezor, levando alguns proprietários a considerar custodiante centralizado ou estruturas com múltiplas assinaturas”.

Outra cobertura sobre o tema também apontou mudança no comportamento de custódia. O diretor de compliance da OKX, Jonathan Brockmeier, afirmou que a exchange registrou entradas recordes após o incidente. À medida que parte dos usuários transferiu ativos de carteiras de hardware para custódia centralizada.

“Estamos vendo níveis recordes de entradas agora nas exchanges centralizadas após a Coldcard”, disse Brockmeier. “É interessante, porque isso é quase o oposto da FTX. A FTX acontece, e todo mundo move seu dinheiro para autocustódia, e agora ele está voltando.”

Ele disse que as exchanges podem oferecer equipes dedicadas de segurança e sistemas automatizados de monitoramento para usuários que preferem custódia gerida. Ao mesmo tempo, ressaltou que a autocustódia continua sendo uma opção para clientes dispostos a administrar a própria segurança.

Picos anteriores coincidiram com viradas locais

Olhando além do ataque atual, a K33 afirmou que explosões semelhantes de atividade onchain apareceram repetidamente em torno de grandes reversões de mercado. O relatório identificou que períodos em que a oferta ativa em sete dias entrou no grupo dos 10% mais altos das observações, em comparação com seu histórico móvel de 365 dias. Coincidiram com topos e fundos locais durante o mercado de baixa de 2022, os ciclos de alta de 2024 e 2025 e o mercado de baixa de 2026.

“A intuição por trás dessa observação é clara: o pânico é visível onchain”, escreveu Lunde.

Ele explicou que mercados em queda costumam levar detentores a mover moedas para exchanges para limitar perdas adicionais. Em contrapartida, preços em alta incentivam tanto a realização de lucros quanto compras motivadas pelo medo de ficar de fora. O relatório também observou que dois dos maiores picos de oferta ativa neste ano ocorreram durante as liquidações de fevereiro e junho. Enquanto outra alta no fim de abril pareceu estar mais ligada a rotações rotineiras de endereços do que a transferências para exchanges.

A K33 não defendeu que a atividade elevada, sozinha, preveja a direção futura dos preços. Ainda assim, destacou que a relação histórica torna o comportamento onchain atual relevante para monitoramento enquanto a investigação sobre a Coldcard avança.

Falha afetou geração de seed nas carteiras

O ataque teve origem em uma falha no firmware da Coldcard que a Coinkite divulgou após descobrir que dispositivos afetados geravam seeds de carteiras com um gerador pseudoaleatório determinístico, em vez do gerador de números verdadeiramente aleatórios apoiado em hardware que deveria ser usado.

Segundo a revisão técnica da Coinkite, a vulnerabilidade foi introduzida em março de 2021, quando engenheiros integraram uma nova biblioteca criptográfica ao firmware da carteira. Embora o gerador de números aleatórios do hardware continuasse funcionando em outras partes do software. A criação da carteira passou a depender por engano do gerador determinístico do MicroPython, reduzindo a entropia usada para criar novas frases-semente.

A equipe de engenharia e segurança de Bitcoin da Block chegou de forma independente à mesma conclusão após revisar o firmware. A empresa disse que os dispositivos vulneráveis chamavam o fallback determinístico do MicroPython durante a criação da carteira. Em vez do gerador de números aleatórios por hardware STM32. No entanto, ressaltou que não concluiu os testes em todos os modelos afetados antes de publicar suas conclusões, porque os roubos já estavam em andamento.

A Coinkite estima que carteiras Mk2 e Mk3 afetadas possam oferecer cerca de 40 bits de entropia efetiva. Já os dispositivos vulneráveis Mk4, Mk5 e Coldcard Q podem gerar aproximadamente 72 bits, bem abaixo do nível de segurança pretendido de 128 bits.

Atualizações emergenciais de firmware já estão disponíveis para todas as linhas impactadas. Porém, a Coinkite afirmou que instalar a versão corrigida protege apenas carteiras criadas depois da correção. Por isso, usuários cujas seeds foram geradas com firmware vulnerável receberam instruções para criar carteiras totalmente novas. Verificar o endereço de destino com uma pequena transação de teste e mover seus Bitcoins apenas após confirmar a transferência.

Verificação de firmware entrou no centro do debate

O caso também reacendeu a discussão sobre como o firmware de carteiras de hardware deve ser verificado antes do lançamento. Escrevendo no X, o diretor de segurança da Kraken, Nick Percoco, argumentou que o setor não deve responsabilizar apenas os fabricantes pela validação da forma como o firmware de produção gera as frases-semente das carteiras.

Ele citou os padrões NIST SP 800-90B e BSI AIS-31, da Alemanha, e afirmou que a indústria não aplica rotineiramente uma verificação ponta a ponta comparável ao firmware de carteiras de hardware, apesar da importância da geração segura de seeds.

O CTO emérito da Ripple, David Schwartz, também comentou o incidente e o descreveu como um exemplo de risco extremo, em que uma falha técnica incomum pode produzir perdas muito acima do que os usuários esperam. Schwartz comparou a violação ao colapso da MF Global em 2011 e argumentou que, embora a autocustódia elimine a dependência de intermediários financeiros, os usuários ainda dependem do funcionamento correto de hardware e firmware.

Ele também observou que, ao contrário de clientes de instituições financeiras reguladas, os donos de Coldcard afetados hoje não possuem um mecanismo comparável de recuperação. Logo após que ladrões roubam os fundos por meio de seeds vulneráveis.

Assim, o episódio reuniu duas frentes de atenção. De um lado, o Bitcoin passou a exibir atividade onchain atípica em meio a preços relativamente estáveis. De outro, a falha da Coldcard abriu novo debate sobre segurança de carteiras de hardware, autocustódia e os limites da proteção disponível quando seeds são comprometidas.